05. Mai 2023 von Julian Halbhuber
Mit Urteil vom 30.03.2023 entschied der EuGH in der Rechtssache C-34/21 im Wege eines Vorabentscheidungsersuchens über die Auslegung des Art. 88 Abs. 1 und 2 DSGVO und stellte fest, dass bei Gebrauch der Öffnungsklausel des Art. 88 Abs. 1 DSGVO durch den nationalen Gesetzgeber auch den Anforderungen des Art. 88 Abs. 2 DSGVO entsprochen werden muss. Der im zugrundeliegenden Verfahren streitgegenständliche § 23 Abs. 1 S. 1 Hessisches Datenschutz- und Informationsfreiheitsgesetz (HDSIG) entspricht dabei im Wortlaut fast vollständig dem § 26 Abs. 1 S. 1 BDSG. Insoweit wird durch die Entscheidung auch dessen Anwendbarkeit fraglich.
Hintergrund der Befassung des EuGH war, durch Erlass des hessischen Kultusministeriums ermöglichter Livestreamunterricht per Videokonferenz, welcher ohne die Einwilligung der betroffenen Lehrer durchgeführt werden sollte. Gestützt wurde die damit verbundene Verarbeitung der personenbezogenen Daten der Lehrer dabei auf § 23 Abs. 1 S. 1 HDSIG. Dieser erlaubt die Datenverarbeitung u.a. bei Erforderlichkeit zur Durchführung des Beschäftigungsverhältnisses, auch ohne Einwilligung der Beschäftigten. Vom vorlegenden VG Wiesbaden wurde dabei insbesondere problematisiert, ob § 23 Abs. 1 S. 1 HDSIG als „spezifischere Vorschrift“ i.S.d. Art. 88 Abs. 1 DSGVO von der entsprechenden Öffnungsklausel umfasst ist, oder nicht eine etwaige Unvereinbarkeit mit den Anforderungen des Art. 88 Abs. 2 DSGVO dieser Bewertung im Weg stehen könnte.
Folgerichtig befasst sich der EuGH zunächst damit, ob bei der Inanspruchnahme der Öffnungsklausel durch den nationalen Gesetzgeber die Vorgaben des Art. 88 Abs. 2 DSGVO zu beachten sind. Dabei weist er insbesondere auf das Spannungsverhältnis zwischen der grundsätzlich beabsichtigten Vollharmonisierung der Vorschriften zum Schutz personenbezogener Daten und der durch Öffnung zu ermöglichenden Wahrung der Kohärenz und Verständlichkeit der nationalen Rechtsordnung hin. Die nationale Differenzierung darf insoweit nicht zum Bruch der beabsichtigten Einheitlichkeit führen. Gerade in diesem Licht ist Art. 88 Abs. 2 DSGVO zu betrachten, welcher in diesem Sinn unter Berücksichtigung der Rechte und Freiheiten der Beschäftigten die Grenzen der nationalen Abweichungen abzeichnet. Daraus ergibt sich, dass nur i.S.d. Art. 88 Abs. 1 DSGVO von der Öffnungsklausel Gebrauch gemacht werden kann, wenn dadurch die Spezifikationen des zweiten Absatzes erfüllt werden. Andernfalls ist eine „spezifischere Vorschrift“ nicht anzunehmen.
Im Hinblick auf den Inhalt dieser Beschränkung führt der EuGH aus, dass eine Vorschrift jedenfalls dann nicht spezifischer sein kann, wenn sie sich in der Wiederholung von Vorgaben oder Grundsätzen der DSGVO erschöpft. Vielmehr muss sie ein „Mehr“ mit Rücksicht auf die Kriterien des Absatzes zwei, mithin im speziellen Beschäftigungskontext der Wahrung der Menschenwürde, sowie bezüglich der berechtigten Interessen und der Grundrechte der betroffenen Person enthalten.
Bei Einschätzung dieser Frage am § 23 Abs. 1 S. 1 HDSIG ist aus den Äußerungen des EuGH zu entnehmen, dass dieser mit der Einschätzung des vorlegenden Verwaltungsgerichts sympathisiert, in der dort statuierten Verarbeitungsmöglichkeit im Rahmen des Beschäftigungsverhältnisses erforderlicher Daten sei über den Regelungsgehalt des Art. 6 Abs. 1 S. 1 lit. b) DSGVO hinaus keine Rechtsfolge beschrieben. Eine spezifischere Vorschrift wäre demnach abzulehnen.
Im Fazit ist daher folgendes festzustellen:
Bei entsprechender Auslegung ist bezüglich § 23 Abs. 1 S. 1 HDSIG kraft Unvereinbarkeit mit der DSGVO von dessen Unanwendbarkeit auszugehen. Etwas anderes könnte sich höchstens ergeben, wenn in der Vorschrift eine Rechtsgrundlage gem. Art. 6 Abs. 3 S. 1 b) DSGVO zu sehen wäre, was der EuGH anspricht, aber nicht entscheidet.
Da auch § 26 Abs. 1 S. 1 BDSG für den Fall der einschlägigen Erforderlichkeit die Verarbeitung von Beschäftigtendaten statuiert, ist auch hier nicht mit dem Bestand als Grundlage der Verarbeitung von Beschäftigtendaten nach Art. 88 Abs. 1 und 2 DSGVO zu rechnen. Insoweit dieser anders als das HDSIG nicht auf die Datenverarbeitung Öffentlicher Stellen beschränkt ist, ist an einen pauschalen Rückgriff auf Art. 6 Abs. 3 S. 1 lit. b) DSGVO, welcher an eine Datenverarbeitung nach § 6 Abs. 1 S. 2 lit. c) DSGVO, oder § 6 Abs. 1 S. 1 lit. e) DSGVO anknüpft, nicht zu denken.
Entsprechend muss sich jedenfalls bezüglich des Art. 26 Abs. 1 S. 1 BDSG alternativ um eine Stütze in der DSGVO bemüht werden. Von einer Unanwendbarkeit des restlichen § 26 BDSG ist hingegen, insoweit dieser über die Grundaussagen des Art. 6 Abs. 1 DSGVO hinaus konkretere Anordnungen trifft, auf Basis des aktuellen Urteils nicht automatisch zu rechnen.